站群防火墙批量配置从手工配20个站花两天到Cloudflare WAF 15分钟全同步完效率差出十倍：二十个站一个一个登录后台切换域名粘贴规则保存确认二十遍总会漏掉几个站三个月后发现被挂马就是因为漏配了目录保护规则

Cloudflare方案的局限

· 国内访问延迟问题：Cloudflare在国内没有节点，如果你的站群面向国内用户，接入Cloudflare后访问速度会明显变慢。这种情况下建议只用Cloudflare做海外站的防护，国内站用其他方案。

· 免费套餐WAF规则数量有限：免费版只有5条自定义规则，站群规模大了不够用。Pro版（20美元/月/域名）支持更多规则，但20个域名就是400美元/月，成本不低。

· 证书问题：Cloudflare默认使用共享证书，有些场景下多个域名共用证书可能产生关联信号。如果需要独立SSL证书，要升级到Business套餐（200美元/月/域名）。

宝塔方案的一个关键问题：跨服务器批量同步

如果你的站群分散在多台服务器上，宝塔面板的多机管理功能可以把所有服务器加到同一个管理界面。但如果服务器数量超过5台，手动逐台配置还是累。这时需要配合Ansible这类自动化运维工具——写一个Ansible playbook，定义好防火墙规则模板，一键推送到所有服务器上的所有站点。Ansible是SSH协议的无代理方案，不需要在服务器上额外安装客户端，特别适合站群场景。

Nginx防火墙批量配置的核心配置文件

1. IP白名单（只允许搜索引擎蜘蛛和运维IP访问后台）：

location /admin {
  allow 你的运维IP;
  allow 百度蜘蛛IP段;
  deny all;
}

2. 请求频率限制（防CC攻击）：

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;

3. UA黑名单（拦截已知恶意爬虫）：

if ($http_user_agent ~* "scrapy|curl|wget|python-requests") { return 403; }

4. 防盗链（保护图片和文件资源）：

location ~* \.(jpg|png|gif|pdf)$ {
  valid_referers none blocked *.你的域名.com 百度 谷歌;
  if ($invalid_referer) { return 403; }
}

第三方WAF产品在站群场景下的三个痛点

· 按域名收费：大部分云WAF按接入域名数量计费，20个域名每月费用轻松过千。对于利润不高的站群来说，成本压力不小。

· 批量操作能力参差不齐：有的产品只支持统一查看安全状态，不支持批量下发规则。买之前一定要确认批量管理功能的具体支持程度。

· 可能产生关联信号：所有域名接入同一个WAF服务商的同一个账号下，如果WAF的配置模板、拦截页面、证书等完全一致，可能成为搜索引擎判断站群关联的线索。

规则一：后台地址IP白名单——优先级最高

站群的每个站都有后台登录入口（/admin、/wp-admin、/manage等），这些入口是暴力破解的主要目标。配一条规则：只允许你自己的运维IP和搜索引擎蜘蛛IP访问后台路径，其余全部拒绝。这条规则要排在第一优先级，并且每个站的后台路径如果不一样，需要单独指定。

规则二：恶意UA全局拦截

维护一份已知恶意UA的黑名单，包括漏洞扫描器（Nikto、Acunetix、Nessus）、爬虫框架（Scrapy、Python-requests、Go-http-client）、SEO工具爬虫（AhrefsBot、SemrushBot——如果你不想被竞品分析的话）。这份黑名单所有站共用，定期更新。

规则三：请求频率限制（防CC/爬虫）

设置单IP的请求频率上限，超过阈值自动封禁。建议分场景设置：普通页面限制每秒10-20次请求，登录接口限制每分钟5次请求，搜索接口限制每分钟10次请求。注意要给搜索引擎蜘蛛的IP段设置更高的上限或直接放行，避免误封。

规则四：敏感文件和目录保护

禁止外部访问配置文件（.env、wp-config.php、config.json）、备份文件（.sql、.tar.gz、.zip）、日志文件、Git目录（.git/）、编辑器临时文件（.swp、~）。这些文件一旦被外部读取，信息泄露的风险极大。

规则五：特定国家/地区IP封锁

如果你的站群只面向特定国家（比如只做国内市场或只做欧美市场），可以直接封掉其他国家的IP。国内站群封掉境外IP能挡住90%的恶意扫描；海外站群封掉非目标市场国家的IP能大幅减少无效流量和攻击面。注意搜索引擎蜘蛛的IP可能在全球各地，不要误封。

细节一：搜索引擎蜘蛛IP白名单必须配，不然等于自断流量

你的IP黑名单、国家封锁、频率限制等规则很容易误伤搜索引擎蜘蛛。百度蜘蛛、Googlebot的IP段和UA信息是公开的，一定要在防火墙规则的最前面加上白名单放行。百度的蜘蛛IP可以在百度搜索资源平台查到官方列表，Google的可以通过反向DNS验证。

细节二：CDN回源IP也要放行

如果你用了CDN（比如Cloudflare），服务器端的防火墙要把CDN的回源IP全部放行，否则CDN节点无法访问你的源站。Cloudflare的回源IP列表是公开的，定期更新。同理，如果你用了百度云加速或其他CDN，也要放行对应的回源IP。

细节三：SSL/TLS证书和防火墙的关系

防火墙配好后，SSL证书的自动续期（Let's Encrypt的ACME验证）可能会被防火墙拦截。要在防火墙上放行/.well-known/acme-challenge/路径，或者把证书续期任务的白名单加到防火墙里。

细节四：监控告警比防火墙规则更重要

防火墙规则是死的，攻击手法是活的。配好防火墙之后，一定要配上监控告警——当拦截量突然飙升、某个站点的错误率异常、服务器负载突增时，第一时间收到通知。很多攻击是在你睡着的时候发生的，没有告警机制，等第二天发现的时候站点已经挂了一整晚。